Aggiornamenti recenti Settembre 19th, 2024 10:23 AM
Set 13, 2024 Marina Londei Attacchi, Minacce, News, RSS 0
I ricercatori di Aqua Nautilus hanno individuato un nuovo malware Linux che prende di mira Weblogic Server di Oracle per eseguire un cryptominer.
Gli attaccanti dietro il malware sfruttano alcune vulnerabilità di Weblogic, come errori di deserializzazione e controlli di accesso inadeguati, per distribuire Hadooken, il payload principale che a sua volta esegue il malware Tsunami e un cryptominer.
Al momento non è chiaro per cosa venga usato il malware Tsunami: durante gli attacchi osservati, questo veniva semplicemente installato sul dispositivo compromesso ma non era parte attiva dell’operazione; è probabile quindi che venga usato per altri scopi successivi all’attacco, per esempio per la raccolta di informazioni.
Dopo aver ottenuto l’accesso al dispositivo con Weblogic Server, gli attaccanti eseguono contemporaneamente uno script Python e uno script shell che si occupano entrambi di scaricare il malware Hadooken. Lo script shell si occupa anche di iterare su diverse directory contenenti dati SSH, come credenziali utente, informazioni sull’host e secret, e sfruttare queste informazioni per attaccare server noti; in seguito, cerca di spostarsi su altri dispositivi dell’organizzazione per diffondere Hadooken.
I ricercatori hanno individuato due indirizzi IP dai quali viene scaricato il malware, uno registrato in Germania e l’altro in Russia. Il primo è ancora attivo ed è stato usato in passato da TeamTNT e Gang 8220, ma ciò non basta per attribuire con certezza questi nuovi attacchi a uno dei gruppi; il secondo risulta invece inattivo.
Nel server relativo al primo indirizzo IP il team ha individuato uno script usato per distribuire il ransomware Mallox, anche se questa operazione non è legata al malware Linux.
Secondo quanto riportato dai ricercatori, ci sono più di 230.000 istanze Weblogic Server connesse a Internet, la maggior parte delle quali è protetta; ci sono comunque delle console di admin esposte a internet che sono vulnerabili a questi attacchi e che andrebbero protette il prima possibile.
Il team di Aqua Nautilus ricorda di controllare periodicamente le configurazioni degli ambienti e risolvere tutte le configurazioni errate per proteggersi da attacchi di questo tipo. È importante inoltre affidarsi a soluzioni di sicurezza robuste per monitorare le attività negli ambienti e individuare le vulnerabilità da sistemare.
Set 16, 2024 0
Set 16, 2024 0
Set 02, 2024 0
Ago 06, 2024 0
Set 19, 2024 0
Set 18, 2024 0
Set 17, 2024 0
Set 13, 2024 0
Set 19, 2024 0
Ora più che mai le aziende si trovano nel mirino dei...Set 18, 2024 0
Negli ultimi tempi gli abusi “transitivi” di...Set 13, 2024 0
Nel suo ultimo Patch Tuesday Microsoft aveva segnalato la...Set 06, 2024 0
Il quishing non è una minaccia nuova, ma negli ultimi...Set 05, 2024 0
Cresce il numero di minacce informatiche contro il settore...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Set 17, 2024 0
Pochi giorni fa il Port of Seattle, l’agenzia...Set 16, 2024 0
I ricercatori di Doctor Web hanno scoperto Vo1d, unSet 16, 2024 0
Nel corso dell’ultima settimana, il CERT-AGID ha...Set 13, 2024 0
I ricercatori di Aqua Nautilus hanno individuato un nuovo...Set 13, 2024 0
Nel suo ultimo Patch Tuesday Microsoft aveva segnalato la...